Насколько код админки у вас отлажен?

[Духовность™]

Насколько код админки у вас отлажен?

Гипотетический пример. Имеем модуль редактирования пользовательской информации.
Его URL: /admin/?action=user_edit&user_id=15

Если передать значение user_id=1000000 или user_id=abs то будет ошибка. В первом случае - нет пользователя с таким id, во втором случае значение не число.

Но! Это именно административная часть программы и если при запуске этого скрипта скрипт на уровне выше не найдет "правильного" md5-хэша в куке пользователя, то доступ к скрипту пользователь не получит.

Одним словом, это закрытая часть, доступная только редакторам сайта.

Отсюда возникает вопрос, насколько сильно нужно придираться к коду административного интерфейса? Понятно, что в публичной части я буду делать максимальные проверки, это не оспаривается. А как быть в данном случае?

Проверка на int будет обязательно, точнее, $_GET['user_id'] просто будет пропущено через intval(). А как быть с проверкой на наличие пользователя с таким ID? Имет ли смысл подобную проверку делать? Или это откровенно лишнее?

Спасибо.

 

[tf]

максимальные проверки - это бональный (int)
не вижу ни одной проблемы

 

[StUV]

Понятно, что в публичной части я буду делать максимальные проверки

что будет если взломают "публичную часть" ?
а если админку ?.. =)

 

[Фанат]

проверка нужна.
правда, к отладке это не имеет никакого отношения - это банальное юзабилити.
если админ пытается редактировать несуществующего юзера, то ему следует об этом сообщить. а не форму пустую выводить

 

[Духовность™]

StUV не понял вопроса... ничего не будет, ошибки посыпятся

бональный (int)

кстати, никогда так ID не проверяю.

int
intval

дают применительно к непустым массивам 1.

-~{}~ 08.10.07 14:39:

Автор оригинала: *****
проверка нужна.
правда, к отладке это не имеет никакого отношения - это банальное юзабилити.
если админ пытается редактировать несуществующего юзера, то ему следует об этом сообщить. а не форму пустую выводить

в том то и вопрос! ситуация, при которой админ будет "редактировать несуществующего юзера" насколько вероятна? Она мала. И предусматривать это или нет - вот в чем вопрос..

 

[boombick]

И предусматривать это или нет - вот в чем вопрос..

Необработанных ошибок быть не должно. Если вероятность есть, то существует потенциальная уязвимость, которую можно будет использовать. Царь и бог кода - это программист. Всякие админы сайта, редакторы, журналисты - лишь пользователи. Которые не должны видеть ошибки, доступные лишь программисту. И наплевать, какой у них уровень доступа к админке.

 

[HraKK]

Я всегда все делаю без [censored]. И не важно видит это или нет. делай в первую очередь для себя. Иначе не к чему путному не приведет.

 

[Фанат]

HraKK
есть вещи, которые на форуме никто и никогда не пишет.
давай ты не будешь выделяться из общей массы

 

[HraKK]

Извиняюсь, вырвалось.
Больная тема.